Le cachet électronique selon eIDAS : définition, usages et vérification

Un cachet électronique, c'est le pendant organisationnel de la signature : il prouve qu'un document provient d'une entreprise ou d'un organisme public précis, et que personne ne l'a modifié depuis. Le règlement (UE) 910/2014, mieux connu sous le nom d'eIDAS, le définit comme des « données sous forme électronique, qui sont jointes ou associées logiquement à d'autres données sous forme électronique pour garantir l'origine et l'intégrité de ces dernières ». L'article 3, point 24, porte le détail qui compte le plus : le créateur d'un cachet est « une personne morale ». Pas un être humain. Une entreprise, une association, un ministère.

Toute la suite de cette page découle de cette seule distinction.

Le mot est trompeur, disons-le. Rien dans un cachet électronique ne ressemble à de la cire ou à un tampon encreur, et ce n'est pas davantage une image de votre logo posée sur un PDF. Dessous, un cachet fonctionne sur la même cryptographie qu'une signature numérique : une clé privée, un certificat qui lie cette clé à une identité, et une empreinte du document qui casse dès qu'un octet change. Ce qui diffère, c'est l'identité inscrite dans le certificat, et ce que l'acte prétend démontrer.

Une signature dit qu'une personne a accepté quelque chose. Un cachet dit qu'une organisation a émis quelque chose. Rien n'empêche de poser les deux sur le même fichier, et beaucoup de circuits réglementés le font : un responsable conformité signe un rapport, puis l'entreprise le cachette avant l'envoi.

Cachet électronique ou cachet électronique visible ?

Deux choses différentes portent presque le même nom en France, et la confusion coûte du temps à tout le monde.

Le cachet électronique au sens d'eIDAS vit à l'intérieur du fichier, dans sa structure cryptographique. On ne le voit pas, on le vérifie.

Le cachet électronique visible, ou CEV, est autre chose. C'est un datamatrix imprimé sur le document, aussi appelé 2D-Doc, qui regroupe les informations principales de la pièce (identité, adresse, numéro de contrat) sous forme de code à scanner. Il a été pensé pour contrôler des justificatifs standardisés, avis d'imposition ou factures d'énergie par exemple, y compris sur papier. C'est un cadre français, pas européen.

Retenez la différence utile : le CEV survit à l'impression, le cachet eIDAS vaut dans les 27 États membres. Cette page traite du second. Les outils de vérification décrits plus bas lisent les cachets contenus dans un fichier, pas les datamatrix imprimés sur une feuille.

Demandez à une équipe conformité où se placent les cachets, vous récolterez le plus souvent un haussement d'épaules, parce que la plupart des éditeurs de signature électronique n'en parlent jamais. Voici le partage, en pratique.

Une signature porte l'intention. Quelqu'un a lu le document et a accepté d'être engagé par lui, et c'est ce consentement que le droit regarde. Un cachet porte la provenance. Il dit que ce fichier est sorti de nos systèmes exactement dans cet état, et il ne dit strictement rien sur l'accord de qui que ce soit.

D'où des certificats qui ne se ressemblent pas. Un certificat de signature nomme une personne : prénom, nom, souvent un identifiant national. Un certificat de cachet nomme une entité, avec sa dénomination sociale, son pays et un identifiant d'organisation comme un numéro de TVA ou une inscription au registre du commerce. Aucun humain dans le champ sujet, et c'est voulu plutôt qu'oublié.

Là où la différence devient vraiment utile, c'est le volume. Personne ne peut signer sérieusement quarante mille bulletins de paie, et prétendre le contraire construit une fiction qui s'effondre au premier examen. Un cachet règle cela honnêtement. L'organisation a émis ces documents, l'organisation les assume, et on ne prête l'intention de personne.

Une dernière différence prend les équipes de court. Un cachet survit aux départs. Quand la personne qui détenait le certificat de signature s'en va, le certificat part avec elle et chaque document futur réclame un nouveau signataire. Un cachet d'organisation continue de fonctionner, puisque l'identité qu'il certifie est l'entreprise elle-même.

Si votre question porte plutôt sur le niveau de signature qu'exige un contrat, c'est un autre sujet, avec sa propre réponse. Notre guide de la signature électronique qualifiée détaille l'échelle SES, AdES et QES, et cette page ne la répétera pas. Les cachets gravissent une échelle parallèle, avec exactement le même vocabulaire.

Les cachets se déclinent dans les mêmes grades que les signatures, et les mots y ont le même sens.

Un cachet électronique avancé doit remplir quatre conditions au titre de l'article 36. Il est lié de manière univoque à l'organisation qui l'a créé, il permet d'identifier cette organisation, il est créé à l'aide de données que l'organisation garde sous son propre contrôle avec un niveau de confiance élevé, et il est lié aux données de telle sorte que toute modification ultérieure se voie.

Un cachet électronique qualifié, c'est un cachet avancé plus deux choses : la clé privée réside dans un dispositif qualifié de création de cachet, et le certificat est un certificat qualifié de cachet électronique délivré par un prestataire de services de confiance qualifié inscrit sur la liste de confiance de l'UE. Même architecture qu'une QES, sujet différent dans le certificat.

Ce que vous achetez avec le grade qualifié, c'est l'article 35, paragraphe 2, et il mérite une lecture lente. Un cachet électronique qualifié « bénéficie d'une présomption d'intégrité des données et d'exactitude de l'origine de ces données ». Une présomption déplace la charge de la preuve. Avec un cachet avancé, si un tiers prétend que votre facture a été modifiée, c'est vous qui devez réunir les preuves du contraire. Avec un cachet qualifié, c'est lui. Sur un litige qui court sur des mois, ce renversement est tout le produit.

Deux clauses complètent le tableau. L'article 35, paragraphe 1, interdit d'écarter un cachet au seul motif qu'il est électronique ou qu'il n'est pas qualifié, si bien qu'un cachet avancé reste une vraie preuve. L'article 35, paragraphe 3, rend un cachet qualifié émis dans un État membre automatiquement reconnu dans tous les autres, sans le moindre accord bilatéral.

La plupart des entreprises n'en ont pas besoin, et autant le dire franchement avant que la suite de cette section ne vous convainque du contraire.

Si vos flux documentaires sont des contrats envoyés à l'approbation d'êtres humains, la signature vous couvre et le cachet ajoute du coût sans ajouter grand-chose. Les cachets méritent leur place dans quatre situations. Regardez si l'une d'elles vous décrit.

Des documents que personne ne signe. Attestations, relevés de notes, relevés de compte, notices, bulletins de paie, extraits de registre. Une organisation les émet sur la foi de ses propres données, pas parce qu'un humain nommé a accepté quoi que ce soit. Le cachet est la façon honnête de les assumer.

De la production en volume. Dès que vous générez des milliers de documents par mois depuis un système et non depuis un bureau, les certificats personnels cessent d'avoir un sens opérationnel. Les cachets ont été conçus exactement pour cette forme de problème.

Le secteur public est le troisième cas, et c'est celui qui repose sur le fondement juridique le plus net. L'article 37 traite des cachets dans les services publics, et plusieurs États membres ont bâti des régimes nationaux explicites par-dessus. L'Espagne en est l'exemple le plus tranché : la loi 40/2015 permet à un organisme public de s'identifier par un sello electrónico pour l'action administrative automatisée, autrement dit des décisions produites par un système sans qu'aucun agent n'y touche. Aucune personne à faire signer, donc l'entité cachette.

Le quatrième cas est l'archivage. Si un document doit rester prouvable pendant dix ans, celui qui l'a cacheté aura changé de poste bien avant l'échéance. L'identité d'une entité vieillit mieux que celle d'une personne.

Remarquez ce qui ne figure pas dans cette liste : les contrats B2B ordinaires. Eux veulent des signatures.

La facturation revient dans presque toutes les conversations sur les cachets, en général avec un malentendu accroché.

L'article 233 de la directive TVA vous impose de garantir l'authenticité de l'origine et l'intégrité du contenu d'une facture, de son émission jusqu'à la fin de sa durée de conservation. Comment vous vous y prenez ne regarde que vous. La directive cite la signature électronique avancée et l'EDI à titre d'exemples, et elle met exactement sur le même plan des contrôles de gestion établissant une piste d'audit fiable. Donc non, le droit européen ne vous oblige pas à cacheter vos factures. Beaucoup d'entreprises parfaitement en règle ne l'ont jamais fait.

Ce qu'un cachet vous achète, c'est une discussion plus courte. Les contrôles de gestion se défendent très bien, mais ce sont des processus qu'il faut décrire et documenter pendant un contrôle. Un cachet qualifié est une propriété du fichier qu'un vérificateur constate en dix secondes, et il transporte avec lui la présomption de l'article 35, paragraphe 2.

Et la réforme française ?

C'est la question qui revient le plus en ce moment, alors autant y répondre nettement : la réforme de la facturation électronique n'impose pas de cacheter vos factures. À partir du 1er septembre 2026, toutes les entreprises doivent être en capacité de recevoir des factures électroniques, et les grandes entreprises et ETI doivent les émettre ; les TPE et PME suivent au 1er septembre 2027. Ce que le texte impose, c'est un format structuré, Factur-X, UBL ou CII, et une transmission par plateforme. Ni signature, ni cachet.

En revanche, vous allez en recevoir. L'Italie exige une signature qualifiée sur les fichiers FatturaPA destinés au secteur public, l'Espagne en demande une sur les factures Facturae passant par FACe, et un fournisseur qui a construit une étape de signature pour ses clients publics finit généralement par signer tout le reste au passage. Vérifiez le pays, pas le continent.

Le calendrier européen bouge aussi. Avec le paquet TVA à l'ère du numérique, la facturation électronique à la norme EN 16931 devient obligatoire pour les opérations intracommunautaires au 1er juillet 2030. Cette norme repose sur du XML structuré, ce qui place le format de cachet correspondant du côté XAdES plutôt que PAdES. Si vous planifiez à cet horizon, c'est la vérification XAdES que vous finirez par lancer.

Cacheter est un service de confiance qui s'achète, pas un logiciel qui s'installe. La séquence ressemble à peu près à ceci.

1. 1
   Choisissez un prestataire sur la liste de confiance. Pour un cachet qualifié, ce doit être un QTSP inscrit sur la liste de confiance de l'UE. N'importe qui d'autre peut vous délivrer un certificat, techniquement solide peut-être, mais il ne sera pas qualifié et la présomption de l'article 35, paragraphe 2, ne s'y appliquera pas. En France, c'est l'ANSSI qui accorde le statut qualifié et publie la liste nationale de confiance.
2. 2
   Prouvez que l'organisation existe et que vous pouvez l'engager. C'est ici que la délivrance d'un cachet diffère vraiment d'un certificat personnel. Le prestataire vérifie l'entité auprès d'un registre, puis vérifie séparément que le demandeur a bien le pouvoir d'engager cette entité. Prévoyez un extrait Kbis et des justificatifs de pouvoir, et comptez plus de délai que pour un certificat personnel.
3. 3
   Décidez où vit la clé privée. Soit dans du matériel que vous exploitez, c'est-à-dire un HSM certifié comme dispositif qualifié de création de cachet, soit dans un dispositif distant exploité par le prestataire. La plupart des équipes prennent le distant, parce que le cachet s'applique en général au sein d'un traitement automatisé à trois heures du matin, pas au bureau de quelqu'un.
4. 4
   Branchez-le sur ce qui produit les documents. Les prestataires exposent le cachet via une API, pour que votre système de facturation ou de gestion documentaire l'appelle fichier par fichier. C'est donc un chantier d'intégration plutôt qu'une procédure de bureau.

La tarification ne fonctionne pas comme celle des certificats personnels. Les certificats de cachet se vendent en général par organisation, avec un volume inclus, si bien que le coût suit ce que vous cachetez plutôt que vos effectifs. Chaque prestataire fixe ses tarifs et les fait évoluer : demandez des devis à deux ou trois QTSP au lieu de budgéter sur un chiffre lu quelque part.

Voici la partie qui surprend : il n'existe aucune procédure distincte pour les cachets. L'article 40 précise que les articles 32, 33 et 34 s'appliquent mutatis mutandis à la validation et à la conservation des cachets électroniques qualifiés. En clair, le texte pointe les règles de validation des signatures qualifiées et dit : faites cela. La procédure technique en dessous, c'est ETSI EN 319 102-1, celle-là même qu'implémente tout validateur sérieux pour les signatures.

Un rapport de validation sur un fichier cacheté répond donc aux mêmes questions :

• L'empreinte cryptographique correspond-elle encore aux octets que vous avez sous les yeux, ou le document a-t-il changé depuis le cachet ?
• La chaîne de certificats remonte-t-elle jusqu'à une racine que le validateur reconnaît ?
• Le certificat était-il actif au moment du cachet, et pas seulement valide aujourd'hui ? Les données de révocation, par OCSP ou par CRL, tranchent ce point.
• Existe-t-il un horodatage de confiance, et concorde-t-il avec la date de cachet annoncée ?
• L'émetteur est-il un QTSP inscrit sur la liste de confiance de l'UE, et le certificat a-t-il été délivré comme certificat qualifié de cachet ?

Ce dernier contrôle sépare un cachet valide d'un cachet qualifié, et les deux verdicts ne sont pas interchangeables. Un cachet émis par une autorité de certification commerciale sérieuse mais absente de la liste de confiance se validera proprement sans être qualifié pour autant.

C'est le type de fichier qui décide de l'outil, pas le fait qu'il s'agisse d'un cachet. Un PDF cacheté est un fichier PAdES : il passe par la vérification de signature PDF. Les factures structurées et les dépôts du secteur public relèvent en général du XAdES. Les fichiers .p7m italiens sont du CAdES, et les conteneurs .asice de l'ASiC. La vérification de signature Chaindoc couvre les quatre formats et confronte les certificats à la liste de confiance de l'UE. Des contrôles en volume plutôt qu'un fichier à la fois ? C'est à cela que sert l'API.

Un avertissement pratique sur les cachets que vous comptez conserver. Un cachet de niveau B ne porte aucun horodatage : des années plus tard, plus rien ne prouve quand il a été apposé, et un certificat expiré devient alors un vrai problème au lieu d'un non-sujet. Tout ce qui part à l'archive devrait être cacheté en LT ou LTA, où les données de validation voyagent à l'intérieur du fichier.

Une fois le rapport de validation ouvert devant vous, distinguer un cachet d'une signature prend cinq secondes, à condition de savoir où regarder.

Un certificat de cachet nomme une entité, pas une personne

Un certificat de signature porte un prénom et un nom, souvent accompagnés d'un identifiant national. Un certificat de cachet n'en porte aucun. Vous y trouverez à la place la dénomination sociale de l'organisation, son pays et un identifiant d'organisation.

L'identifiant d'organisation a une structure

Cet identifiant n'est pas un champ libre. La norme ETSI EN 319 412-1 définit un préfixe sémantique de trois lettres, puis un code pays, puis la valeur enregistrée. Trois reviennent constamment en pratique : VAT pour un numéro de TVA, NTR pour une inscription à un registre du commerce national, et LEI pour un Legal Entity Identifier. Le certificat de cachet d'une société française pourra donc porter VATFR- suivi du numéro de TVA intracommunautaire, là où une entrée de registre néerlandaise se lit NTRNL- suivi du numéro de chambre de commerce.

Confrontez cette valeur à l'entité dont vous attendez réellement ce document. Un cachet cryptographiquement irréprochable émanant de la mauvaise société reste la mauvaise société.

Un cachet et une signature peuvent coexister

Rien n'interdit à un document de porter les deux, et dans les circuits réglementés c'est fréquent : un responsable nommé signe, puis l'organisme émetteur cachette le fichier terminé. Un rapport de validation les liste séparément, chacun avec son certificat et son verdict, donc lisez chaque entrée plutôt que le titre. Deux entrées valides, ce sont deux affirmations différentes : l'une sur l'accord d'une personne, l'autre sur l'émission par une organisation.

Les schémas d'échec se répètent, et presque aucun n'est technique.

Cacheter ce qui demandait une signature

Le plus coûteux. Un cachet prouve que votre organisation a émis un document. Il ne dit rien de l'accord de quiconque sur son contenu. Si un régulateur ou un juge réclame la preuve qu'une personne nommée a consenti, le cachet ne la fournira pas, et on s'en aperçoit en général au pire moment.

Acheter du qualifié quand l'avancé suffisait

Le qualifié coûte plus cher et demande plus de temps à mettre en place, et la présomption de l'article 35, paragraphe 2, ne rentabilise son prix que là où les documents sont réellement contestés. Les documents internes et les émissions à faible enjeu le justifient rarement. Les cachets avancés restent une preuve à part entière au titre de l'article 35, paragraphe 1.

Deux erreurs plus discrètes méritent d'être nommées. Des équipes cachettent en niveau B, archivent le résultat, puis découvrent des années plus tard que rien ne prouve la date du cachet. Et des organisations traitent le certificat de cachet comme une brique d'infrastructure ordinaire, en laissant sa clé privée accessible à quiconque dispose des accès de production, ce qui annule discrètement l'intérêt d'un dispositif que le règlement veut sous le contrôle de l'entité.

S'il ne fallait retenir qu'une chose : accordez l'instrument à ce que vous voulez affirmer. Un cachet électronique est un outil étroit qui fait bien une seule chose, prouver que votre organisation a émis ce fichier précis, intact. Faites signer ce à quoi une personne consent, cachetez ce que votre organisation émet, et vérifiez les deux avant de vous appuyer sur l'un ou l'autre. Un fichier cacheté sous les yeux en ce moment même ? Passez-le au vérificateur et lisez le rapport détaillé plutôt que le verdict en une ligne.